EN FR
Fonctionnalités Comment ça marche Tarifs Contact Connexion
🕒 Dernière mise à jour : 14 octobre 2026

Règles Yara : filtrez vos emails avec vos propres règles

Comprenez à quoi sert le module « Règles Yara » de l'interface Clean Mailbox, comment fonctionnent les statuts et les actions d'une règle, et partez d'un exemple concret.

⚠️

Fonctionnalité en version bêta : le module Règles Yara est actuellement en bêta. Son fonctionnement et son interface peuvent évoluer, et des imperfections sont possibles. N'hésitez pas à nous faire part de vos retours.

À quoi ça sert

Les filtres de Clean Mailbox (antivirus, anti-spam) protègent contre les menaces connues. Le module Règles Yara complète ce dispositif avec vos propres règles, pour traiter les cas qui n'appartiennent qu'à votre organisation : une campagne de phishing qui imite votre direction, des factures frauduleuses qui reviennent avec les mêmes tournures, un mot-clé que vous ne voulez jamais voir arriver dans certaines boîtes, etc.

YARA est un langage de description de motifs : une règle décrit des chaînes de texte (ou des expressions régulières) à chercher dans un message, et une condition qui indique quand la règle « correspond ». Clean Mailbox analyse chaque message reçu par votre domaine avec vos règles, puis applique l'action que vous avez choisie.

Où trouver le module

Dans l'interface Clean Mailbox, ouvrez votre domaine puis le menu Règles Yara. Le module est réservé aux administrateurs du domaine et doit être activé sur celui-ci : si l'entrée de menu n'apparaît pas, contactez-nous pour l'activer.

Depuis cette page, vous pouvez créer une règle, la modifier, la réordonner, la supprimer, et importer ou exporter un fichier .yar. Chaque entrée contient une seule règle YARA, avec :

Au moment de l'enregistrement, la règle est validée : si sa syntaxe est invalide, l'erreur YARA est affichée et rien n'est enregistré.

Les statuts d'une règle

Le statut détermine si la règle est évaluée, et si son action est réellement appliquée.

StatutLa règle est-elle évaluée ?Impact sur les emails
Inactive Non Aucun. La règle est conservée mais ignorée ; elle ne compte pas dans vos limites.
Audit (journalisation seule) Oui Aucun sur le message, qui est livré normalement. Chaque correspondance est enregistrée avec ce que la règle aurait fait (« aurait tagué » ou « aurait bloqué »).
Active Oui L'action de la règle est appliquée au message : tag ajouté au sujet, ou message bloqué.
💡

Méthode recommandée : créez toujours une nouvelle règle en audit. Laissez-la tourner quelques jours, consultez ses correspondances, vérifiez qu'elle ne touche que ce que vous visez, puis passez-la en active. Une règle trop large peut sinon bloquer des emails légitimes.

Une règle en inactive est pratique pour mettre une règle de côté (par exemple une campagne terminée) sans la perdre, ou pour préparer une règle importée avant de la tester. Les règles inactives ne comptent pas dans la limite de règles et de motifs.

Les actions : taguer ou bloquer

L'action ne s'applique que si la règle est active (en audit, elle est seulement journalisée).

Taguer

Le message est livré, mais le texte du tag que vous avez défini est ajouté au début de son sujet, par exemple [FACTURE SUSPECTE] Votre facture n° 4821. Le destinataire garde la décision, tout en étant alerté ; vous pouvez aussi vous appuyer sur ce tag pour créer une règle de tri dans votre messagerie (déplacer vers un dossier, alerter un service, etc.).

Bloquer

Le message n'est pas livré : il est retiré avant d'atteindre la boîte du destinataire, sans notification à l'expéditeur. Une copie est conservée dans votre quarantaine, où vous pouvez la consulter et la restaurer en cas de faux positif.

StatutAction « Taguer »Action « Bloquer »
Inactive Rien (règle ignorée) Rien (règle ignorée)
Audit Message livré tel quel ; « aurait tagué » dans le suivi Message livré tel quel ; « aurait bloqué » dans le suivi
Active Message livré, tag ajouté au sujet Message retiré, copie en quarantaine

Ordre d'évaluation et « Si la règle correspond »

Les règles sont évaluées dans l'ordre affiché dans le tableau (utilisez les flèches pour les monter ou les descendre). Une règle en audit n'a jamais d'effet sur la suite : elle est journalisée et l'évaluation continue.

Pour une règle active avec l'action « Taguer », le champ Si la règle correspond précise ce qui se passe ensuite :

Une règle qui bloque s'arrête toujours : ce choix n'existe donc que pour les tags. Placez en premier vos règles de blocage les plus sûres.

Exemple de règle

Objectif : repérer les fausses demandes de changement de RIB, un classique de la fraude au président, et les signaler au destinataire sans rien bloquer au départ.

1. Le code YARA

rule Fraude_changement_RIB
{
    meta:
        description = "Demande de changement de coordonnées bancaires"

    strings:
        $rib1 = "changement de RIB" nocase
        $rib2 = "nouveau RIB" nocase
        $rib3 = "nouvelles coordonnées bancaires" nocase
        $urgence1 = "urgent" nocase
        $urgence2 = "dès aujourd'hui" nocase
        $urgence3 = "confidentiel" nocase

    condition:
        any of ($rib*) and any of ($urgence*)
}

Cette règle correspond à un message qui contient au moins une expression liée au RIB et au moins un terme d'urgence. L'association des deux limite les faux positifs : un simple « RIB » dans une facture légitime ne suffit pas.

2. Les réglages dans l'interface

ChampValeur
TitreFraude changement de RIB
StatutAudit pour commencer
ActionTaguer
Tag[VERIFIER RIB]
Si la règle correspondContinuer

3. La mise en production

  1. Enregistrez la règle en audit et laissez-la tourner une à deux semaines.
  2. Consultez ses correspondances (voir ci-dessous) et vérifiez qu'il s'agit bien de tentatives de fraude, pas de messages légitimes.
  3. Si besoin, affinez la condition (retirez un terme trop courant, exigez davantage de motifs).
  4. Passez la règle en active : les messages suspects arrivent désormais avec le tag [VERIFIER RIB] dans leur sujet.
  5. Si vous êtes certain·e de la fiabilité de la règle, vous pouvez passer l'action à Bloquer.
⚠️

Une règle ne correspond que si tous les éléments de sa condition sont réunis. Testez toujours vos règles en audit avant de les activer, et privilégiez des motifs précis plutôt que des mots très courants.

Suivre les correspondances

La page Règles Yara affiche, pour chaque règle, le nombre de correspondances sur les 30 derniers jours (audit compris), dont le nombre de fois où l'action a réellement été appliquée, ainsi que les 20 dernières correspondances.

Le temps réel permet aussi de retrouver chaque message concerné. Les messages bloqués par vos règles y sont indiqués comme tels ; ils sont aussi dans votre quarantaine.

Limites et bonnes pratiques

Questions fréquentes

Dois-je connaître YARA pour utiliser le module ?

Les règles simples, comme celle de l'exemple, s'écrivent sans connaissance approfondie : une liste de chaînes et une condition. Pour des cas plus avancés, la documentation officielle de YARA décrit le langage en détail.

Que se passe-t-il si ma règle est trop lente ou en erreur ?

Le message est livré normalement : l'analyse est limitée dans le temps, et une règle défaillante est ignorée sans empêcher les autres de s'appliquer.

Un email bloqué est-il perdu ?

Non. Il est conservé dans votre quarantaine, où vous pouvez le consulter et le restaurer en cas de faux positif.

Quelle différence entre « audit » et « inactive » ?

Une règle en audit est évaluée et ses correspondances sont enregistrées, sans effet sur les emails. Une règle inactive n'est pas évaluée du tout.

Besoin d'aide pour activer le module ?

Notre support peut vous aider à activer le module sur votre domaine et à valider sa configuration. L'écriture et le contenu des règles restent de votre responsabilité.

Contacter Clean Mailbox →

Protégeons votre boîte mail.

Questions sur l'essai, la configuration, les tarifs ou un partenariat ? Nous sommes là — et nous répondons vite.

✓ Essai 30 jours, sans carte bancaire
✓ Compatible avec tous les serveurs mail
✓ Mise en place en moins de 5 minutes
✓ Infrastructure hébergée en France 🇫🇷